如何停用sudo使用者的“su”訪問許可權？

---

簡介

在系統安全方面，儘可能限制root訪問許可權至關重要，尤其是在多個使用者可以訪問系統的情況下。“su”命令是使用者獲得root訪問許可權的一種方式。

雖然su命令允許使用者從一個使用者帳戶切換到另一個使用者帳戶，但擁有sudo許可權的使用者可能會誤用或濫用它。在本文中，我們將解釋sudo使用者的“su”訪問許可權的含義，為什麼停用sudo使用者的“su”訪問許可權很重要，以及如何做到這一點。

sudo使用者的“su”訪問許可權說明

在基於Unix的系統中，“sudo”用於代替直接以超級使用者或root身份登入。透過使用“sudo”，普通使用者帳戶可以臨時獲得提升的許可權，以執行系統順利執行所需的管理任務。

“sudoers”檔案控制誰有權使用“sudo”。但是，在某些配置下，這些特權使用者仍然可能透過su命令擁有不受限制的root級替換使用者 (Su) 功能。

瞭解Sudo和Su命令

sudo命令說明

sudo命令是一個強大的工具，允許使用者執行管理級任務，而無需root訪問許可權。它透過提示使用者輸入他們自己的密碼而不是root密碼來執行，確保只有授權使用者才能執行特權命令。此功能使系統管理員可以輕鬆地將特定任務委派給非root使用者，透過限制人為錯誤或惡意意圖造成的潛在損害，提供額外的安全層。

sudo和su命令都是管理基於Unix的系統的重要工具。雖然它們具有相似的用途，但在它們的功能和允許使用者執行的操作方面存在根本差異。

瞭解這些差異對於維護正確的系統安全協議和防止未經授權的訪問或濫用特權帳戶至關重要。在下一節中，我們將探討允許sudo使用者訪問“su”命令所帶來的一些風險，以及為什麼除非絕對必要，否則停用此功能至關重要。

未經授權的root許可權訪問

與sudo使用者的“su”訪問許可權相關的最大風險是未經授權的root許可權訪問。如果惡意或粗心的使用者透過“su”獲得root許可權，他們可以執行任何命令或更改系統上的任何檔案，而無需任何限制。這包括刪除關鍵系統檔案，安裝惡意軟體或修改可能導致安全漏洞的系統配置。

如果攻擊者獲得了具有“su”訪問許可權的使用者帳戶的控制權，他們可以使用它作為墊腳石來提升其在目標系統上的許可權，並對網路內部或外部的其他目標發起進一步攻擊。簡而言之，授予不受限制的root許可權是在計算機安全方面最危險的事情之一。

多個使用者訪問root許可權相關的安全風險

除了惡意行為者未經授權的訪問之外，當多個使用者在同一系統上具有“su”訪問許可權時，也存在固有風險。允許多個使用者無限制地使用管理許可權會增加他們在嘗試同時對同一硬體進行更改或執行任務時發生衝突的可能性。在這種情況下，如果出現問題，很難甚至不可能確定是誰執行了哪個操作——無論是無意的錯誤還是特權使用者之一蓄意破壞的行為。

因此，停用sudo使用者的“su”訪問許可權可以降低這些風險，同時最大限度地減少由於多個使用者與root許可權互動而產生的衝突和混亂。在下一節中，我們將討論如何安全有效地為sudo使用者停用“su”訪問許可權。

如何停用sudo使用者的“su”訪問許可權

分步指南如果您已決定停用sudo使用者的“su”訪問許可權，您可以按照以下簡單步驟操作

步驟1 - 開啟終端視窗

首先，啟動您的終端應用程式。您可以透過按鍵盤上的Ctrl+Alt+T或在系統的應用程式選單中搜索“終端”來執行此操作。

步驟2 - 編輯/etc/pam.d/su檔案

接下來，使用nano或vim之類的文字編輯器開啟/etc/pam.d/su檔案。您將在其中進行更改以停用sudo使用者的“su”訪問許可權。例如，如果您使用的是nano，您可以將此命令輸入終端：

sudo nano /etc/pam.d/su 

這將以編輯模式開啟檔案。

步驟3 - 註釋掉或刪除讀取的內容為：auth sufficient pam_rootok.so的行

在以編輯模式開啟su檔案後，找到此行：

auth sufficient pam_rootok.so   

您需要將其註釋掉或完全刪除。

要註釋掉它，請在行的開頭放置一個“#”符號：

#auth sufficient pam_rootok.so     

或者，只需從文字編輯器中刪除整行。必須注意，某些發行版可能具有不同的身份驗證機制和配置。

在這種情況下，修改此配置檔案可能無法按預期工作。因此，在進行任何更改之前，請確保您做出明智的決定。

步驟4 - 儲存並退出檔案

儲存並退出文字編輯器。例如，如果使用nano，您可以按Ctrl+X儲存更改，然後按Y確認更改，最後按Enter退出nano。

完成這四個步驟後，系統上將停用sudo使用者的“su”訪問許可權。這意味著以前可以使用“su”命令訪問root許可權的使用者將不再能夠這樣做。此方法是提高系統安全性的簡單有效方法。

結論

停用sudo使用者的“su”訪問許可權是系統管理員應採取的關鍵安全措施，以維護其系統的完整性。在本文中，我們探討了“su”訪問許可權的概念及其與sudo使用者的關係，以及允許多個使用者訪問root許可權相關的風險。我們還介紹了幾種停用“su”訪問許可權的方法，包括編輯/etc/pam.d/su檔案和為管理任務建立單獨的組。

需要注意的是，雖然停用“su”訪問許可權可以提高系統安全性，但這不能替代其他最佳實踐，例如強密碼和定期軟體更新。系統管理員應始終採用多層安全方法，以確保最大程度地防止威脅。